1. Objet
La présente politique définit la manière dont Chwezi Core Systems Limited (« Chwezi », « nous ») collecte, utilise, conserve, partage et élimine les données à caractère personnel, ainsi que la manière dont les personnes peuvent exercer leurs droits sur ces données. Elle fixe également les obligations que Chwezi accepte lorsqu’elle traite des données à caractère personnel pour le compte de ses clients dans les logiciels qu’elle développe et héberge.
2. Champ d’application
La présente politique s’applique à toutes les données à caractère personnel que Chwezi traite, sous quelque forme que ce soit, concernant :
- les visiteurs de nos sites web et les personnes qui nous adressent des demandes ;
- les interlocuteurs de nos clients et les clients potentiels ;
- les utilisateurs des produits logiciels que nous hébergeons (notamment Kraal Code, Maduuka et Aqar) et les personnes dont nos clients y conservent les dossiers ;
- les candidats à un emploi, le personnel, les stagiaires et les prestataires ;
- les interlocuteurs de nos fournisseurs.
Elle s’applique à chaque administrateur, employé, stagiaire, prestataire et consultant travaillant pour Chwezi (le « personnel »), ainsi qu’aux fournisseurs qui traitent des données à caractère personnel pour notre compte.
3. Résumé en langage clair
- Nous ne collectons que les données à caractère personnel dont nous avons besoin pour vous répondre, fournir nos services, employer notre personnel et respecter la loi.
- Nous ne vendons pas de données à caractère personnel et nous ne les utilisons pas à des fins de publicité pour le compte de tiers.
- Certains de nos systèmes et sites web sont hébergés sur des serveurs situés aux États-Unis d’Amérique, en Finlande et en Allemagne. Nous protégeons les données dans ces pays au moyen du chiffrement, de contrôles d’accès et de contrats conclus avec nos hébergeurs.
- Lorsqu’un client conserve ses dossiers dans un logiciel que nous hébergeons, c’est le client qui décide de l’utilisation de ces données ; nous suivons ses instructions et assurons la sécurité des données.
- Vous pouvez demander à consulter, rectifier ou supprimer vos données à caractère personnel, ou vous opposer à leur utilisation, en écrivant à info@chwezicore.com. Nous vous répondons dans un délai de 30 jours.
- Chwezi est enregistrée auprès du Personal Data Protection Office (PDPO, autorité ougandaise de protection des données).
- Si vous n’êtes pas satisfait, vous pouvez déposer une plainte auprès du PDPO en Ouganda.
4. Définitions
| Terme | Signification |
|---|---|
| Données à caractère personnel | Informations relatives à une personne vivante identifiée ou identifiable, au sens du Data Protection and Privacy Act, 2019 (loi ougandaise de 2019 sur la protection des données et de la vie privée). |
| Données personnelles sensibles (catégories particulières) | Données à caractère personnel révélant les convictions religieuses ou philosophiques, les opinions politiques, la vie sexuelle, les informations financières, l’état de santé ou les dossiers médicaux, telles que définies dans la loi. |
| Personne concernée | La personne à laquelle se rapportent les données à caractère personnel. |
| Responsable du traitement | La personne ou l’organisation qui détermine les finalités et les moyens du traitement des données à caractère personnel. |
| Sous-traitant | Une personne ou une organisation qui traite des données à caractère personnel pour le compte d’un responsable du traitement. |
| Traitement | Toute opération portant sur des données à caractère personnel, notamment la collecte, l’enregistrement, la conservation, l’utilisation, le partage, le transfert et la suppression. |
| Violation de données à caractère personnel | Une violation de la sécurité entraînant, de manière accidentelle ou illicite, la perte, la destruction, l’altération ou la divulgation de données à caractère personnel, ou l’accès à celles-ci. |
| Sous-traitant ultérieur | Un fournisseur auquel Chwezi fait appel pour traiter des données à caractère personnel de clients, tel qu’un hébergeur. |
| PDPO | Le Personal Data Protection Office, autorité ougandaise de protection des données, institué en vertu de la loi au sein de la National Information Technology Authority – Uganda (NITA-U). |
| Délégué à la protection des données | La personne responsable de la présente politique. Jusqu’à ce qu’une autre personne soit désignée par écrit, cette fonction est assurée par le Fondateur et directeur technique. |
5. Notre rôle : responsable du traitement et sous-traitant
5.1 Chwezi en tant que responsable du traitement. Chwezi est le responsable du traitement des données à caractère personnel qu’elle collecte pour ses propres finalités : demandes reçues via le site web, contacts clients et fournisseurs, marketing, recrutement et emploi.
5.2 Chwezi en tant que sous-traitant. Lorsqu’un client conserve des données à caractère personnel dans un système que Chwezi développe, héberge ou maintient, le client est le responsable du traitement et Chwezi est le sous-traitant. Dans ce rôle, Chwezi doit :
- traiter les données uniquement sur instruction documentée du client, telle que définie dans le contrat et dans la configuration choisie par le client ;
- ne pas utiliser les données du client pour ses propres finalités, y compris le marketing ou l’analyse de produits permettant d’identifier des personnes ;
- soumettre à une obligation de confidentialité toute personne ayant accès aux données ;
- appliquer les mesures de sécurité prévues par la Politique de sécurité de l’information (CCS-POL-ISP-01) ;
- ne faire appel à des sous-traitants ultérieurs que dans les conditions prévues à la section 11 ;
- aider le client à répondre aux demandes des personnes concernées et à remplir ses propres obligations en matière de notification des violations et d’analyse d’impact ;
- à la fin du service, restituer les données du client dans un format d’export exploitable, puis les supprimer, sauf si la loi impose leur conservation ;
- fournir au client les informations dont il a raisonnablement besoin pour démontrer sa conformité, et permettre les audits convenus dans le contrat.
5.3 Lorsque la loi applicable à un client impose aux sous-traitants des obligations allant au-delà de celles de la présente politique, comme le Kenya Data Protection Act, 2019 ou le Règlement général sur la protection des données (RGPD) de l’Union européenne, Chwezi doit remplir ces obligations pour ce client lorsque le contrat l’exige.
6. Principes de protection des données
Chwezi doit traiter les données à caractère personnel conformément aux principes du Data Protection and Privacy Act, 2019. Concrètement, les données à caractère personnel doivent être :
- traitées de manière licite, loyale et transparente ;
- collectées pour une finalité déterminée, explicite et légitime, et ne pas être utilisées d’une manière incompatible avec cette finalité ;
- adéquates, pertinentes et limitées à ce qui est nécessaire au regard de la finalité ;
- exactes et tenues à jour ;
- conservées pas plus longtemps que ne l’exige la finalité ou la loi ;
- protégées par des mesures de sécurité appropriées ;
- traitées dans le respect des droits des personnes concernées ;
- transférées hors de l’Ouganda uniquement dans les conditions prévues à la section 10.
7. Données à caractère personnel que nous traitons en tant que responsable du traitement
| Qui | Quelles données | Pourquoi | Fondement | Durée de conservation |
|---|---|---|---|---|
| Visiteurs du site web et auteurs de demandes | Nom, organisation, adresse électronique, téléphone, contenu du message | Répondre à la demande et préparer des propositions | Consentement, donné par l’envoi de la demande (art. 7(1)) | 24 mois après le dernier contact, sauf si la relation devient une relation client |
| Interlocuteurs des clients et des clients potentiels | Nom, fonction, organisation, adresse électronique, téléphone, historique des échanges | Fournir, facturer et assurer le support des services ; gérer la relation | Exécution d’un contrat, ou mesures demandées avant sa conclusion (art. 7(2)(c)) | Durée du contrat, plus la durée exigée par le droit fiscal et le droit des sociétés |
| Utilisateurs des logiciels hébergés (données de compte) | Nom, adresse électronique, téléphone, rôle, journaux de connexion, entrées de la piste d’audit | Fournir un accès sécurisé et un support, et tenir des journaux de sécurité | Exécution du contrat client (art. 7(2)(c)) ; respect d’obligations légales (art. 7(2)(e)) | Durée de vie du compte utilisateur, plus 12 mois pour les journaux de sécurité |
| Candidats à un emploi | CV, coordonnées, qualifications, références, notes d’entretien | Évaluer les candidatures | Mesures prises à la demande du candidat avant la conclusion d’un contrat (art. 7(2)(c)) ; consentement à la conservation du CV pour de futurs postes | 12 mois après la clôture du recrutement, sauf si le candidat est embauché |
| Personnel, stagiaires et prestataires | Données d’identité et coordonnées, contrat, coordonnées bancaires et fiscales, paie, performance, personnes à contacter en cas d’urgence | Employer ou engager la personne et respecter le droit du travail et le droit fiscal | Contrat (art. 7(2)(c)) ; obligation légale (art. 7(2)(e)) | Durée de l’engagement, plus la durée exigée par le droit du travail et le droit fiscal |
| Interlocuteurs des fournisseurs | Nom, organisation, adresse électronique, téléphone, coordonnées de paiement | Acheter et payer des biens et services | Contrat (art. 7(2)(c)) ; obligation légale (art. 7(2)(e)) | Durée du contrat, plus la durée exigée par le droit fiscal et le droit des sociétés |
| Contacts marketing | Nom, adresse électronique, organisation, préférences | Envoyer les actualités et analyses que la personne a demandées | Consentement (art. 7(1)) | Jusqu’au retrait du consentement |
8. Fondement juridique, consentement, enfants et données personnelles sensibles
8.1 Le personnel ne doit pas collecter ni traiter de données à caractère personnel sans le consentement préalable de la personne concernée, sauf si l’article 7(2) de la loi le permet : lorsque le traitement est autorisé ou exigé par la loi, est nécessaire à l’exécution d’un contrat avec la personne concernée ou à des mesures demandées par celle-ci avant la conclusion d’un contrat, est effectué à des fins médicales, ou est nécessaire au respect d’une obligation légale. Chwezi ne se fonde pas sur des « intérêts légitimes », car la loi ne prévoit pas ce fondement.
8.2 Lorsqu’une personne concernée s’oppose à un traitement fondé uniquement sur le consentement, Chwezi doit cesser ce traitement, comme l’exige l’article 7(3) de la loi.
8.3 Lorsque Chwezi se fonde sur le consentement, celui-ci doit être éclairé, spécifique et enregistré. Une personne concernée peut retirer son consentement à tout moment, et le retrait doit être aussi simple que l’octroi.
8.4 Lorsqu’elle collecte des données à caractère personnel directement auprès d’une personne, Chwezi doit lui indiquer qui nous sommes, pourquoi nous avons besoin des données, si leur fourniture est facultative ou obligatoire, qui en sera destinataire et comment exercer ses droits. La présente politique et l’avis de confidentialité publié sur notre site web fournissent ces informations.
8.5 Chwezi ne collecte pas sciemment de données à caractère personnel directement auprès d’enfants sur ses propres sites web. L’article 8 de la loi n’autorise le traitement des données d’enfants qu’avec le consentement préalable d’un parent ou tuteur, lorsque la loi l’exige, ou à des fins de recherche ou de statistique. Lorsque le système d’un client contient des dossiers d’enfants, par exemple dans un logiciel scolaire ou de santé, le client, en tant que responsable du traitement, doit établir ce fondement, et Chwezi doit appliquer à ces dossiers le traitement prévu pour les informations de niveau « Restreint ».
8.6 Les données personnelles sensibles (catégories particulières), y compris les informations de santé et les informations financières conservées dans les systèmes des clients, doivent être traitées comme des informations de niveau « Restreint » au sens de la Politique de sécurité de l’information et ne peuvent être traitées que dans les cas permis par l’article 9 de la loi, par exemple avec le consentement librement donné de la personne concernée ou pour remplir les obligations légales d’un employeur.
9. Données que nous traitons pour le compte de nos clients
9.1 Avant la mise en production d’un système client, le chef de projet doit convenir avec le client : des catégories de données à caractère personnel que le système contiendra, du lieu d’hébergement, des utilisateurs qui y auront accès, des règles de conservation souhaitées par le client et de l’interlocuteur du client pour les questions de protection des données.
9.2 Le personnel de Chwezi peut accéder aux données de production d’un client uniquement pour fournir un support, corriger des anomalies, effectuer des migrations ou remplir une obligation légale, et uniquement avec le niveau d’accès minimal nécessaire. Cet accès doit être journalisé.
9.3 Les fichiers de migration de données reçus des clients doivent être conservés sous forme chiffrée, utilisés uniquement pour la migration et supprimés dans un délai de 30 jours après la validation de la migration par le client, sauf si le client demande leur restitution.
10. Lieu de conservation des données : transferts hors de l’Ouganda
10.1 Chwezi héberge certains de ses systèmes et sites web sur des serveurs situés aux États-Unis d’Amérique, en Finlande et en Allemagne. Les données à caractère personnel contenues dans ces systèmes sont donc conservées et traitées hors de l’Ouganda. Le personnel de Chwezi travaillant depuis l’Ouganda et d’autres pays peut également accéder aux données à distance pour fournir un support.
10.2 En vertu de l’article 19 du Data Protection and Privacy Act, 2019, les données à caractère personnel ne peuvent être traitées ou conservées hors de l’Ouganda que si le pays de conservation dispose de mesures adéquates de protection des données à caractère personnel au moins équivalentes à celles de l’Ouganda, ou si la personne concernée y a consenti. Chwezi satisfait à cette exigence comme suit :
- La Finlande et l’Allemagne sont membres de l’Union européenne, où le Règlement général sur la protection des données (RGPD) de l’Union européenne établit un niveau de protection au moins équivalent à celui du droit ougandais.
- États-Unis d’Amérique : Chwezi fait appel à des hébergeurs tenus contractuellement de préserver la confidentialité des données, de ne les traiter que pour fournir le service d’hébergement et d’appliquer des mesures de sécurité certifiées ou auditées de manière indépendante au regard de normes reconnues. Ces mesures contractuelles et techniques n’établissant pas à elles seules que la protection offerte par ce pays est équivalente à celle de l’Ouganda, Chwezi se fonde sur le consentement de la personne concernée pour les données à caractère personnel dont elle est responsable et qu’elle y conserve, et la présente politique ainsi que l’avis de confidentialité de notre site web indiquent ce lieu avant la collecte des données. Pour les données des clients, Chwezi doit convenir du lieu d’hébergement avec le client avant la mise en production, afin que le client, en tant que responsable du traitement, puisse s’assurer du fondement dont il a besoin ; un client peut exiger que ses données soient hébergées en Finlande ou en Allemagne.
- Pour tous les lieux : Chwezi chiffre les données à caractère personnel en transit et au repos, limite l’accès administratif à des membres nommément désignés du personnel de Chwezi et restreint l’accès de l’hébergeur au contenu des bases de données des clients à ce qui est nécessaire au fonctionnement de l’infrastructure.
10.3 Chwezi doit indiquer à chaque client, avant la mise en production et sur demande, le pays qui héberge les données de ce client.
10.4 Lorsque le contrat d’un client exige que les données restent dans un pays ou une région déterminés, Chwezi doit les y héberger et ne doit pas les transférer ailleurs sans l’accord écrit du client.
10.5 Le Délégué à la protection des données doit réexaminer les garanties applicables aux transferts chaque fois qu’un nouveau pays ou un nouvel hébergeur est introduit, ainsi qu’à chaque révision annuelle de la présente politique.
11. Partage et sous-traitants ultérieurs
11.1 Chwezi ne vend, ne loue ni ne commercialise de données à caractère personnel.
11.2 Chwezi peut partager des données à caractère personnel uniquement :
- avec des fournisseurs qui les traitent pour notre compte, tels que les prestataires d’hébergement, de messagerie électronique et de sauvegarde, dans le cadre de contrats écrits imposant la confidentialité et la sécurité ;
- avec des conseillers professionnels, tels que les auditeurs et les avocats, tenus à la confidentialité ;
- avec les autorités lorsque la loi l’exige, après vérification de la licéité de la demande ;
- avec le consentement de la personne concernée, ou sur instruction documentée d’un client.
11.3 Chwezi doit tenir une liste des sous-traitants ultérieurs utilisés pour les produits hébergés et de leurs lieux de traitement, et la communiquer à un client sur demande. Chwezi doit informer les clients concernés avant d’ajouter ou de remplacer un sous-traitant ultérieur qui conserve des données de clients, afin qu’ils puissent s’y opposer selon les termes de leur contrat.
12. Sécurité des données à caractère personnel
12.1 Chwezi protège les données à caractère personnel au moyen des mesures prévues par la Politique de sécurité de l’information (CCS-POL-ISP-01), notamment l’accès selon le principe du besoin d’en connaître, l’authentification multifacteur pour l’accès administratif, le chiffrement en transit et au repos, des sauvegardes quotidiennes chiffrées, la journalisation et la surveillance, des tests d’intrusion annuels des produits hébergés, des accords de confidentialité signés par le personnel et une formation annuelle.
12.2 Le personnel ne doit pas copier de données à caractère personnel sur des appareils personnels, des messageries électroniques personnelles ou des comptes de stockage en ligne personnels, ni dans des outils publics d’intelligence artificielle.
13. Conservation et élimination
13.1 Les données à caractère personnel doivent être conservées uniquement pendant les durées fixées à la section 7, ou pendant la durée fixée par un client pour ses propres données, ou plus longtemps uniquement lorsque la loi l’exige.
13.2 À l’expiration de la durée de conservation, les données à caractère personnel doivent être supprimées de manière sécurisée ou anonymisées. Les documents papier doivent être détruits par déchiquetage. La suppression des sauvegardes prend effet à l’expiration du cycle de sauvegarde.
13.3 Le Délégué à la protection des données doit vérifier au moins une fois par an que les données dont la durée de conservation a expiré ont été supprimées.
14. Droits des personnes concernées
14.1 En vertu du Data Protection and Privacy Act, 2019, toute personne concernée a le droit :
- d’être informée des données à caractère personnel que nous détenons à son sujet et d’en obtenir une copie ;
- de faire rectifier les données inexactes ou incomplètes ;
- de faire supprimer les données lorsqu’elles ne sont plus nécessaires ou ont été traitées de manière illicite ;
- de s’opposer au traitement, y compris au traitement à des fins de prospection directe ;
- de retirer son consentement lorsque nous nous fondons sur le consentement ;
- de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé l’affectant de manière significative ;
- de déposer une plainte auprès du Personal Data Protection Office.
Ces droits sont énoncés aux articles 24 à 28 de la loi.
14.2 Les demandes doivent être adressées à info@chwezicore.com avec l’objet « Data Protection Request » (demande relative à la protection des données), ou remises par écrit à notre bureau de Kampala. Chwezi peut demander une preuve d’identité avant de donner suite à une demande.
14.3 Le Délégué à la protection des données doit accuser réception de chaque demande dans un délai de 5 jours ouvrables et y répondre intégralement dans un délai de 30 jours à compter de sa réception, comme l’exige l’article 24(9) de la loi pour les demandes d’accès, ou dans tout délai plus court prévu par la loi. Chwezi ne doit pas facturer de frais pour une demande, sauf si celle-ci est manifestement infondée ou excessive.
14.4 Lorsqu’une demande porte sur des données dont un client est responsable, Chwezi doit la transmettre au client dans un délai de 5 jours ouvrables et aider le client à y répondre.
14.5 Lorsque Chwezi refuse de donner suite à une demande, elle doit en expliquer les motifs par écrit et indiquer à la personne comment déposer une plainte auprès du PDPO.
15. Violations de données à caractère personnel
15.1 Toute personne doit signaler immédiatement toute violation présumée de données à caractère personnel au Délégué à la protection des données, en utilisant la procédure de signalement des incidents prévue à la section 20 de la Politique de sécurité de l’information (CCS-POL-ISP-01).
15.2 Le Délégué à la protection des données doit évaluer la violation, l’inscrire au registre des violations et prendre des mesures pour la contenir et en limiter les conséquences.
15.3 L’article 23 de la loi s’applique indistinctement aux collecteurs de données, aux sous-traitants et aux responsables du traitement. Chaque fois que Chwezi estime que des données à caractère personnel ont été consultées ou obtenues par une personne non autorisée, le Délégué à la protection des données doit en informer immédiatement le Personal Data Protection Office, selon les modalités prévues par l’article 33 des Data Protection and Privacy Regulations, 2021 (règlement d’application de 2021), en décrivant l’accès non autorisé et les mesures correctives prises.
15.4 Chwezi doit informer les personnes concernées touchées au moment et selon les modalités que le PDPO détermine en vertu de l’article 23(2) et (3) de la loi : par courrier recommandé, par courrier électronique, par un avis bien visible sur notre site web ou par publication dans les médias de masse, en fournissant suffisamment d’informations pour leur permettre de se protéger.
15.5 Lorsque la violation concerne des données que Chwezi traite pour le compte d’un client, Chwezi doit également en informer l’interlocuteur désigné du client dans les meilleurs délais et, en tout état de cause, dans un délai de 72 heures après en avoir pris connaissance, sauf si le contrat prévoit un délai plus court ; elle doit en outre coordonner la notification au PDPO avec le client et fournir au client les informations dont il a besoin pour remplir ses propres obligations.
15.6 Chwezi doit consigner chaque violation de données à caractère personnel, y compris celles qui n’ont pas été notifiées, avec les faits, les conséquences et les mesures correctives.
16. Sites web, cookies et mesure d’audience
16.1 Les sites web de Chwezi doivent utiliser uniquement les cookies nécessaires à leur fonctionnement, sauf si les visiteurs en sont informés et, lorsque la loi l’exige, y ont consenti.
16.2 Les outils de mesure d’audience des sites web doivent être configurés de manière à ne pas collecter plus de données à caractère personnel que nécessaire, et ne doivent pas être utilisés pour constituer des profils publicitaires.
16.3 L’avis de confidentialité de notre site web, publié sur chwezicore.com, fournit aux visiteurs les informations spécifiques relatives au traitement effectué sur notre site web et renvoie à la présente politique.
17. Prospection directe
17.1 Chwezi doit envoyer des communications de prospection électronique uniquement aux personnes qui y ont consenti ou aux clients existants recevant des informations sur des services similaires, et chaque message doit comporter un moyen simple de se désabonner.
17.2 Les demandes de désabonnement doivent être traitées dans un délai de 10 jours ouvrables.
18. Protection des données dès la conception et analyses d’impact
18.1 Chaque nouveau système, fonctionnalité de produit ou service traitant des données à caractère personnel doit être conçu de sorte que, par défaut, il collecte le minimum de données, restreigne l’accès en fonction des rôles et permette la conservation, l’export et la suppression des dossiers.
18.2 Avant le lancement d’un produit, d’une fonctionnalité ou d’un processus susceptible d’engendrer un risque élevé pour les personnes, tel qu’un traitement à grande échelle de données de santé, de données financières ou de données d’enfants, Chwezi doit réaliser et consigner une analyse d’impact relative à la protection des données, ou aider le client à réaliser la sienne.
19. Rôles et responsabilités
| Rôle | Responsabilités |
|---|---|
| Fondateur et directeur technique | Approuve la présente politique ; fournit les ressources ; assure la fonction de Délégué à la protection des données jusqu’à ce qu’une autre personne soit désignée par écrit. |
| Délégué à la protection des données | Est responsable de la présente politique ; tient le registre des activités de traitement, la liste des sous-traitants ultérieurs et le registre des violations ; traite les demandes des personnes concernées et les notifications au PDPO ; maintient l’enregistrement de Chwezi auprès du PDPO ; conseille sur les analyses d’impact ; organise la formation. |
| Responsable de la sécurité de l’information | Met en œuvre les mesures de sécurité qui protègent les données à caractère personnel (CCS-POL-ISP-01) ; dirige la réponse technique aux incidents. |
| Chefs de projet et responsables de mission | Conviennent avec les clients des conditions de protection des données et du lieu d’hébergement ; veillent à ce que les projets appliquent la protection des données dès la conception. |
| L’ensemble du personnel | Traite les données à caractère personnel uniquement dans la mesure requise par sa fonction et permise par la présente politique ; signale immédiatement les violations et les demandes des personnes concernées. |
20. Formation, suivi et manquements à la politique
20.1 Chaque membre du personnel et chaque prestataire qui manipule des données à caractère personnel doit suivre une formation à la protection des données au cours de son premier mois et au moins une fois par an.
20.2 Le Délégué à la protection des données doit rendre compte au Fondateur et directeur technique au moins tous les six mois des demandes des personnes concernées, des violations, des vérifications de conservation et des évolutions législatives.
20.3 Le Délégué à la protection des données doit conserver le registre des activités de traitement, les preuves de consentement, les demandes des personnes concernées et les réponses apportées, le registre des violations, les analyses d’impact et la liste des sous-traitants ultérieurs pendant au moins trois ans après la clôture de chaque enregistrement.
20.4 Un manquement du personnel à la présente politique peut entraîner des sanctions disciplinaires pouvant aller jusqu’au licenciement, ou la résiliation d’un contrat. Le Délégué à la protection des données mène l’enquête ; le Fondateur et directeur technique statue sur l’issue.
21. Plaintes et autorité de contrôle
21.1 Toute personne préoccupée par la manière dont Chwezi traite ses données à caractère personnel peut d’abord nous contacter à info@chwezicore.com afin que nous puissions tenter de résoudre la question.
21.2 Toute personne a également le droit de déposer une plainte auprès du Personal Data Protection Office, Ouganda (www.pdpo.go.ug).
21.3 Chwezi est enregistrée auprès du PDPO dans le registre de protection des données tenu en application de l’article 29 de la loi et des Data Protection and Privacy Regulations, 2021. Le Délégué à la protection des données doit maintenir cet enregistrement à jour, et doit le renouveler ou le mettre à jour chaque fois que la réglementation l’exige.
22. Contact
Délégué à la protection des données, Chwezi Core Systems Limited
Kampala, Ouganda
Courriel : info@chwezicore.com (objet : « Data Protection Request »)
Téléphone : +256 784 464178
Numéro d’immatriculation de la société : 80034847127066
23. Historique des révisions et des approbations
| Version | Date | Auteur | Approuvé par | Modification | Prochaine révision |
|---|---|---|---|---|---|
| 1.0 | 27 octobre 2026 | Délégué à la protection des données | Peter Bamuhigire, fondateur et directeur technique | Première version approuvée | octobre 2027 |
La présente politique doit être révisée au moins une fois par an, et plus tôt après une violation importante, une modification de la loi ou un changement du lieu ou des modalités d’hébergement de nos données.
Approuvé pour le compte et au nom de Chwezi Core Systems Limited
Peter Bamuhigire, fondateur et directeur technique — 27 octobre 2026